Jeff Kaufman: KI durchbricht gleichzeitig zwei Arten von Sicherheitslücken-Kultur, und eine 90-tägige Sperrfrist wird ins Gegenteil verkehrt

Der Software-Ingenieur Jeff Kaufman (jefftk) veröffentlichte am 8. Mai den Artikel „AI is Breaking Two Vulnerability Cultures“. Er vertritt die These, dass KI gleichzeitig zwei langfristig nebeneinander bestehende Sicherheits-Patch-Kulturen durchbricht: „coordinated disclosure“ (koordinierte Offenlegung) und „bugs are bugs“ (stille Fehlerbehebung). Die beiden Strategien beruhten auf der Annahme, dass „Angreifer langsam darin sind, Schwachstellen zu erkennen“—diese Voraussetzung wurde durch KI-gestützte automatische Scantechniken bereits durchbrochen. Kaufmans Blog-Originaltext und der Diskussionsbeitrag auf Hacker News erreichten mehr als 200 Pluspunkte an Relevanz, und ist damit einer der meistdiskutierten Sicherheits-Beobachtungsartikel der Woche in der Entwickler-Community.

Zwei Schwachstellen-Kulturen: koordiniertes Disclosure- vs. „stille Fehlerbehebung“

Kaufman ordnet zwei Kulturen in folgendem Rahmen:

Koordinierte Offenlegung (coordinated disclosure)—Entdecker informieren Wartungspersonen privat, gewähren typischerweise ein 90-Tage-Patch-Fenster, und geben dann öffentlich bekannt. Dahinter steckt die Annahme: Angreifer müssen Zeit aufwenden, um die gleiche Schwachstelle unabhängig zu entdecken

„Bugs are Bugs“ stille Fehlerbehebung—Ein gängiger Ansatz in Open-Source-Projekten wie Linux: Patches werden beim Zeitpunkt nicht besonders als Sicherheitsfixes markiert, die Behebung wird durch das Einfließen hoher Commit- bzw. PR-Mengen „überflutet“, um keine Aufmerksamkeit von Angreifern zu erregen

Vergangenheit: Diese zwei Kulturen konnten nebeneinander bestehen, weil Angreifer keine „schnellen, automatischen und kostengünstigen“ Tools hatten, um alle Commit-Historien zu scannen oder gleichzeitig nach derselben Schwachstelle zu suchen. KI verändert diese Grundlage.

Auswirkungen von KI auf „stille Fehlerbehebung“: Commit-Scanning wird billig

Konkrete Auswirkungen von KI auf Linux-Stil Open-Source-Projekte:

Früher: Angreifer mussten einzelne Commits prüfen, dafür brauchten sie viel Personal und Zeit; „im Strom der Veröffentlichungsmengen untergehen“ war eine wirksame Tarnung

Heute: KI kann historisches Commit-Material mit geringen Kosten scannen und automatisch Commits erkennen, die „wie Sicherheitsfixes aussehen“, selbst wenn der Autor es nicht ausdrücklich so bezeichnet

Auswirkung: Die Heimlichkeit stiller Fehlerbehebung verliert rapide an Wirksamkeit, und die Pufferzeit „bis die Patches ausgerollt sind“ wird verkürzt

Kaufman nennt konkrete Beispiele: „Je stärker es reizt, Commits zu untersuchen, desto größer wird der Nutzen“, weil die Bewertung jedes einzelnen Changes „immer günstiger und immer wirksamer“ durch KI wird. Das bedeutet, dass Open-Source-Projekte sich künftig nicht mehr auf den traditionellen Vorteil „Patch-Geschwindigkeit ist schneller als die Aufmerksamkeit der Angreifer“ verlassen können.

Auswirkungen von KI auf „koordinierte Offenlegung“: Das 90-Tage-Embargo wird kontraproduktiv

Der Kern der koordinierten Offenlegung ist das „Embargo“: Entdecker verpflichten sich, vor dem Patch durch die Maintainer nicht öffentlich zu werden—aber KI ermöglicht es mehreren Teams, dieselbe Schwachstelle synchron zu scannen:

Konkretes Beispiel: Ein Forscher namens Hyunwoo Kim meldete eine bestimmte Schwachstelle, und nur 9 Stunden später wurde sie unabhängig voneinander erneut entdeckt

Mehrere KI-unterstützte Scan-Teams können synchron arbeiten; ein langes Embargo gibt dadurch „scheinbare Dringlichkeitslosigkeit“

Wenn andere die Schwachstelle bereits nach 9 Stunden finden können, verschafft ein 90-Tage-Embargo den tatsächlichen Angreifern ein 89-Tage- und 23-Stunden-Angriffsfenster

Kaufmans Fazit: Zukünftig sollten „sehr kurze Embargos“ verwendet werden, und je mehr die KI-Fähigkeiten zunehmen, desto mehr müssen diese Embargos verkürzt werden. Entscheidend ist: Die Beschleunigung durch KI ist nicht einseitig vorteilhaft für Angreifer—auch Verteidiger können KI nutzen, um Patches und Deployments zu beschleunigen, und beide Seiten konkurrieren innerhalb der komprimierten Zeitfenster.

Nachverfolgbare konkrete Ereignisse: Ob große Projekte wie der Linux Kernel und Project Zero die Richtlinien für den Veröffentlichungszeitplan aktualisieren; der kommerzielle Fortschritt von KI-automatisierten Schwachstellenscan-Tools (Semgrep, CodeQL usw.); sowie die konkreten Gegenstrategien, die Sicherheitsabteilungen von Unternehmen für „KI als zweischneidiges Schwert“ planen.

Der Artikel „Jeff Kaufman: AI bricht gleichzeitig zwei Sicherheitslücken-Kulturen und 90-Tage-Embargos werden zum Nachteil“ erschien zuerst bei 鏈新聞 ABMedia.